CVE-2026-7790 in cowlib
الملخص
بحسب VulDB • 13/05/2026
ثغرة استهلاك الموارد غير الخاضع للرقابة في مكتبة ninenines cowlib (وحدة cow_http_te) تسمح بإفراط في تخصيص الموارد (Excessive Allocation).
يقبل مُترجم ترميز النقل المقطّع (chunked transfer-encoding) في cow_http_te عدداً غير محدود من الأرقام الست عشرية في حقل حجم القطعة (chunk-size). كل رقم يتسبب في عملية ضرب لأرقام كبيرة (bignum multiplication) بصيغة (Len * 16 + digit)، وبالتالي فإن معالجة N من الأرقام الست عشرية تتطلب عملاً بمعالج من التعقيد O(N²) وذاكرة من التعقيد O(N). بالإضافة إلى ذلك، عندما يتم تغذية المدخلات بشكل متقطع (drip-fed)، يتجاهل المُترجم الطول المتراكم في كل قراءة جزئية ويعيد البدء من الصفر عند الاستئناف، مما يرفع التكلفة إلى O(N³). يمكن لمهاجم عن بُعد غير مصرح له استغلال هذا الثغرة عن طريق إرسال طلب HTTP/1.1 يحتوي على رأس Transfer-Encoding: chunked وسلسلة طويلة جداً من الأرقام الست عشرية لحجم القطعة، مما يؤدي إلى حجب الخدمة (Denial of Service) نتيجة استنفاد موارد المعالج وتضخم الذاكرة.
ترتبط هذه الثغرة بملف البرنامج src/cow_http_te.erl والإجراءات البرمجية cow_http_te:stream_chunked/2 و cow_http_te:chunked_len/4.
تؤثر هذه المشكلة على cowlib: من الإصدار 0.6.0 قبل 2.16.1.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.